Inicio / Alerta Temprana / Avisos Sci / Validación incorrecta de entrada en la librería HART de GE y MACTek HART Device DTM

Validación incorrecta de entrada en la librería HART de GE y MACTek HART Device DTM

Fecha de publicación: 
06/02/2015
Importancia: 
2 - Baja
Recursos afectados: 
  • MACTek’s Bullet DTM 1.00.0
  • GE’s Vector DTM 1.00.0
  • GE’s SVi1000 Positioner DTM 1.00.0
  • GE’s SVI II AP Positioner DTM 2.00.1
  • GE’s 12400 Level Transmitter DTM 1.00.0

ACTUALIZACIÓN a 16/02/2015

ABB ha constatado que esta vulnerabilidad afecta a los siguientes de sus productos:

  • ABB Third Party Device Type Library - Versión 1.17 y anteriores.
  • Freelance ABB 3rd Party HART DTMLibrary – Versión 1.4.178.214 y anteriores.
  • S Plus Melody ABB 3rd Party HART DTMLibrary – Versión 1.4.175.185 y anteriores.

ACTUALIZACIÓN a 18/02/2015

Los siguientes productos de Yokogawa también se ven afectados:

  • ADMAG AE Series Magnetic Flowmeters (AE/AE14) Rev.1 & 2,
  • ADMAG SE Series Magnetic Flowmeters (SE/SE14) Rev.1 & 2,
  • AM11 Magnetic Flowmeter Remote Converter Rev.1,
  • AXFA11 Magnetic Flowmeter Remote Converter Rev.1,
  • ADMAG AXF Series Magnetic Flowmeters (AXF/AXFA14) Rev.1,
  • ADMAG AXR Two-wire Magnetic Flowmeters Rev.1 & 2,
  • digitalYEWFLO Vortex Flowmeter Rev.1,2,3, & 4,
  • Dpharp EJA /EJA-A Series Pressure Transmitters/Differential PressureTransmitters Rev.1,2, & 3,
  • Dpharp EJX Series Pressure Transmitters/Differential PressureTransmitters Rev.1,2, & 3,
  • EJX Multivariable Transmitters?EJX910A/EJX930A) Rev.1 & 2,
  • Rotameter Rev.1,
  • Coriolis Mass Flowmeters- ROTAMASS 3-Series(RCCT3x/RCCF31) Rev.1,2, & 3,
  • Coriolis Mass Flowmeters(CF11) Rev.1,
  • Differential Pressure Transmitters Rev.1,
  • YEWFLO Vortex Flowmeter Rev.1 & 2,
  • YT200 Temperature Transmitters Rev.1,
  • YTA110/YTA310/YTA320 Temperature Transmitters Rev.1,2, & 3,
  • YTA70 Temperature Transmitters Rev.1,
  • AV550G Rev.1,
  • DO202 Rev.1,
  • ISC202 Rev1,
  • ISC450 Rev.1 & 2,
  • PH150 Rev.1 & 2,
  • PH202 Rev.1,
  • PH450 Rev.1 & 2,
  • SC150 Rev.1 & 2,
  • SC202 Rev.1,
  • SC450Rev.1 & 2,
  • ZR202 Rev.1,
  • ZR402 Rev.1.
Descripción: 

Se ha identificado una vulnerabilidad de validación incorrecta en la biblioteca del protocolo HART del Device Type Manager (DTM) utilizada en los dispositivos de GE y MACTek HART DTM.

Solución: 

GE ha solucionado la vulnerabilidad con una nueva biblioteca, que ambas compañías han comenzado a integrar. Para solucionar esta vulnerabilidad, se recomienda instalar las actualizaciones en los productos afectados, las cuales puede encontrar en:

ACTUALIZACIÓN a 16/02/2015

ABB ha lanzado nuevas versiones de sus productos para solucionar esta vulnerabilidad.

  • ABB Third Party Device Type Library - Versión 1.19
  • Freelance ABB 3rd Party HART DTMLibrary – Versión 1.4.180.225
  • S Plus Melody ABB 3rd Party HART DTMLibrary –Versión 1.4.180.225

ACTUALIZACIÓN a 18/02/2015

Los usuarios de equipamiento del fabricante Yocogawa deberán ponerse en contacto con la oficina local del fabricante para obtener las últimas versiones que mitigan esta vulnerabilidad.

Detalle: 

Mediante el envío de paquetes especialmente diseñados, la vulnerabilidad permite que el dispositivo afectado se bloquee y deje de responder. Además, la vulnerabilidad también puede utilizarse para la ejecución de código de forma arbitraria a través del buffer overflow

Se ha reservado el identificador CVE-2014-9203 para esta vulnerabilidad.

ACTUALIZACIÓN a 16/02/2015

ABB ha publicado un boletín de seguridad con productos afectados por esta vulnerabilidad y los parches correspondiente.

ACTUALIZACIÓN a 18/02/2015

yokogawa ha publicado una aviso haciéndose eco de esta vulnerabilidad.